Cisco 应对DNS毒化问题.>

network

Cisco 应对DNS毒化问题.>http://www.cisco.com/warp/public/707/cisco-sa-20080708-dns.shtml

提请运营商、域名服务商、IDC以及有独立DNS服务器的单位关注下面的安全公告。



网页：http://www.cert.org.cn/articles/bulletin/common/2008072424030.shtml

关于DNS系统面临严重安全漏洞风险的紧急公告

安全公告：CN-VA08-05 发布日期：2008年7月24日 漏洞类型：欺骗 漏洞评估：重要 安全等级： [img=30,20]http://cid:image001.jpg@01C8EE3D.3D2F87C0[/img] 公开程度：公共 漏洞描述： 　　2008年7月9日以来，思科、微软、ISC等互联网域名解析服务软件厂商纷纷发布了安全公告，称其DNS软件存在高危漏洞，攻击者可以通过猜测DNS解析过程中的报文序列号来伪造DNS权威服务器的应答，从而达到“污染”高速缓存（Cache）中的记录的目的，即将错误的域名指向信息注入DNS服务器，最终导致受到污染的DNS服务器将对外提供错误的解析结果。该种攻击方式可造成域名劫持攻击，使得公众在不知情的情况下通过域名访问到黑客指定的网站，面临网络钓鱼和网页木马等一系列严重的安全威胁。 　　7月22日，针对该漏洞的探测程序被发布，7月23日，针对该漏洞的完整攻击程序被发布，并随后广泛流传。我中心经过初步测试后发现，在带宽良好情况下，该攻击程序对存在漏洞的DNS服务器只需数分钟就可完成攻击，受攻击目标会瞬时接到大量攻击报文，容易被误判为“query flood”方式的拒绝服务攻击。 　　鉴于该安全事件形势严峻且发展迅速，为确保我国互联网的运行安全，请各相关单位迅速采取适当措施，对所运行的DNS服务器进行必要的安全加固，并加强异常监测和处置。 建议措施： 1、根据相应厂商提供的补丁升级DNS服务器系统； 2、因在攻击过程中会短时出现大量伪造的域名解析响应数据包，呈现拒绝服务攻击特点，这些数据包的源IP、目的IP、解析的IP地址相同，但序列号不同，可据此在有条件的防护设备（如智能防火墙、流量清洗设备等）上配置相应的规则加以屏蔽或过滤； 3、定期清理DNS缓存或在发现异常访问后清理缓存。 参考信息： http://www.cert.org.cn/servlet/SubChannelArticles?channel=bulletin&sub=1 http://www.kb.cert.org/vuls/id/800113 http://www.isc.org/sw/bind/bind-security.php http://www.cisco.com/warp/public/707/cisco-sa-20080708-dns.shtml http://www.microsoft.com/technet/security/bulletin/ms08-037.mspx 其他信息： 　　CVE编号： 　　首次发布日期：2008-7-24 　　修订次数：0 安全公告文档编写： 　　CNCERT/CC ----------------------------------------------------------------------------------- 　　CNCERT/CC在发布安全公告信息之前，都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。 　　在任何情况下，如果您确信您的计算机系统受到危害或是攻击，我们鼓励您及时告知国家计算机网络应急技术处理协调中心：http://www.cert.org.cn/servlet/Incident 　　同时，我们也鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站公布漏洞信息及指导受影响用户采取措施以避免损失。 　　如果您发现本公告存在任何问题，请与我们联系：